Governança de IA

Governança de IA é decidir até onde a IA vai sozinha.

Governança de Inteligência Artificial é o conjunto de decisões que define até onde a empresa deixa a IA agir sozinha, com qual dado, sob responsabilidade de quem, e como isso é verificado depois. Não é um documento nem um comitê — documento e comitê são meios, e sozinhos não mudam o que o sistema faz em produção. Esta página reúne a definição, o modelo de maturidade, as métricas e as seis etapas, com o material completo de cada uma.

Ver as seis etapas Medir a maturidade em 3 minutos

95%DAS ORGANIZAÇÕES BRASILEIRAS JÁ USAM IA

27%DIZEM TER GOVERNANÇA MADURA

80%JÁ REVERTERAM UMA IMPLEMENTAÇÃO DE IA

39%DESSES CASOS COM VAZAMENTO DE DADOS

Fontes: EY, adoção de IA no Brasil (maio de 2026); Deloitte, State of AI in the Enterprise 2026; Sinch, The AI Production Paradox — recorte Brasil, base de 2.527 executivos seniores em dez países.

A definição

O que governança de IA responde, na prática

A definição curta cabe em uma frase, mas ela só vira operação quando se transforma em quatro perguntas que alguém consegue responder com nome, data e evidência.

O que já está em uso?

A lista de sistemas e ferramentas de IA que rodam hoje na empresa — incluindo os que ninguém aprovou. Sem ela, toda decisão seguinte se aplica só à parte visível do problema.

Qual dado pode entrar?

A classificação da informação por sensibilidade, e o que cada nível pode alimentar. É o que transforma "não use dado sensível" em regra que alguém consegue seguir às três da tarde.

Até onde o sistema decide sozinho?

O limite de autonomia por sistema: o que ele resolve, o que ele propõe para alguém confirmar, e o que ele nunca faz. Escrito antes da produção, não depois do primeiro incidente.

Como provamos depois?

A trilha que permite reconstruir o que o sistema leu, decidiu e executou em um caso específico, meses depois. É o que separa afirmar conformidade de conseguir demonstrá-la.

A confusão mais comum

Governança de IA não é governança de TI com outro nome

Viés e discriminação

Sistema treinado em decisão passada reproduz a decisão passada, inclusive a que a empresa não quer repetir. Não é falha de acesso nem de disponibilidade — é falha de resultado.

Explicabilidade

Sistema tradicional tem regra legível. Modelo probabilístico não tem, e a empresa precisa conseguir explicar a decisão mesmo assim — inclusive porque o titular pode exigir revisão.

Alucinação em processo crítico

O sistema erra com aparência de acerto. Não cai, não gera alerta, não abre chamado: responde com confiança um número que não existe.

Dado saindo pelo prompt

Não há integração para auditar. O vazamento acontece no corpo de um texto colado, o que nenhum controle de rede enxerga como transferência de dado.

Propriedade do que é gerado

Quem responde pelo conteúdo que o modelo produziu, e sob qual licença ele foi treinado, são perguntas que a governança de TI nunca precisou fazer.

Modelo de maturidade

Quatro níveis, e quase toda empresa está nos dois primeiros

O nível não se mede pela quantidade de documento produzido. Mede-se pelo que a empresa consegue responder sem preparar a resposta.

Nível	Como se reconhece
1 · Exposta	Sem inventário a IA já está em uso e ninguém sabe onde. Não há política, ou existe uma que ninguém aplica. O risco não é hipotético: é vazamento, decisão sem rastro e ferramenta sem dono.
2 · Em construção	Política sem execução existe política ou comitê, mas o controle não alcança o que roda em produção. O ponto cego típico é o agente autônomo: ninguém sabe dizer até onde ele vai sem um humano.
3 · Estruturada	Controle em execução inventário vivo, classificação por risco, guardrail aplicado, escalonamento definido e trilha recuperável. A governança é praticada, e não só declarada.
4 · Verificável	Auditável por terceiro o mesmo conjunto, organizado em sistema de gestão que um auditor externo consegue examinar — que é o que a ISO/IEC 42001 formaliza.

O diagnóstico de maturidade mede isso em dez perguntas e três minutos, e devolve a faixa com as lacunas nomeadas uma a uma. Sem formulário e sem cadastro.

Como implementar

Seis etapas, e a ordem importa mais do que parece

O caminho mais comum é começar pela política. É também o que mais produz documento aprovado e ignorado. A ordem abaixo é a que sobrevive ao contato com a operação.

Inventário do que já está em uso

Incluindo o que ninguém aprovou. Toda decisão seguinte se apoia nesta lista, e ela não sai de inventário de software: ferramenta de IA em camada gratuita não instala nada. O caminho está no checklist de mapeamento de shadow AI, em 12 passos.

Classificação por risco, com critério escrito

Qual sistema decide sobre pessoa, qual recomenda, qual só redige texto interno. O critério importa mais que o rótulo — é ele que sobrevive quando a lista de ferramentas mudar, e é o requisito de partida de qualquer norma.

Política de uso aceitável, curta e específica

Com uma regra de redação que decide a adesão: toda proibição vem com a alternativa autorizada no mesmo parágrafo. O template completo está publicado, pronto para adaptar.

A alternativa segura, disponível de fato

Normalmente um AI Gateway que unifica acesso, custo, observabilidade e auditoria. É o que torna o caminho autorizado mais conveniente que o atalho — e enquanto pedir acesso for mais lento que abrir uma aba nova, a política perde.

É a etapa que a maioria dos programas pula, e é a que decide o resultado

Controles em execução nos sistemas de maior risco

Guardrail verificado pela máquina, critério de escalonamento humano e trilha de auditoria da decisão. Quando o sistema age sozinho, valem os quatro controles de agente, que a política de uso não cobre.

Medição contínua, com números definidos antes

Sem métrica escolhida no início, o programa é avaliado por percepção — e percepção favorece quem produz documento. A seção seguinte traz os números que valem a pena.

Como medir

As métricas que dizem se o controle existe fora do papel

Quase ninguém publica isto, e é a parte que a diretoria pergunta primeiro. Contagem de políticas publicadas e de reuniões de comitê não são métricas de governança: são métricas de atividade.

Métrica	O que ela revela
Cobertura do inventário	Quantos sistemas de IA foram descobertos depois do mapeamento se dizer pronto. Alto significa que o mapa não é mapa.
Tráfego pelo caminho autorizado	Proporção das chamadas de IA que passam pelo gateway. Metade fora dele não é ponto de controle, é relatório parcial.
Sistemas com dono nomeado	Percentual com uma pessoa da área de negócio responsável. Dono na engenharia significa decisão de negócio tomada por quem não tem mandato.
Alto risco com trilha recuperável	Percentual em que dá para reconstruir um caso específico de meses atrás. É o teste real: se ninguém consegue puxar o caso, a trilha não existe.
Tempo de resposta a exceção	Em dias. É a métrica que mais influencia adesão — quem tem entrega para segunda não espera duas semanas por autorização.
Taxa de escalonamento e tempo até a pessoa	Quantos casos o agente passa adiante, e quanto o cliente espera. Escalonamento que faz repetir tudo é pior que não escalonar.
Custo por área e por caso de uso	Custo por time responde quem gastou; por caso de uso responde o que valeu a pena, que é a pergunta da renovação de orçamento.
Tempo entre erro e descoberta	E quem descobriu primeiro: a empresa ou o cliente. É o número que resume o programa inteiro.

Referências

Os frameworks, e o que cada um resolve

Nenhum deles é obrigatório hoje no Brasil. Servem como estrutura pronta — a decisão é qual deles a empresa precisa conseguir demonstrar, e para quem.

ISO/IEC 42001 — a primeira norma certificável para sistemas de gestão de IA. É a que vira certificado emitido por organismo acreditado, quando a governança precisa ser verificável por terceiro.
NIST AI Risk Management Framework — estrutura voluntária de gestão de risco, útil como vocabulário comum entre times técnicos e de compliance. Não certifica.
EU AI Act — em vigor desde agosto de 2024, com obrigações escalonadas. Alcança empresa brasileira com operação, subsidiária ou cliente na União Europeia.
PL 2338/2023 — o Marco Legal da IA brasileiro. Aprovado no Senado, ainda em tramitação na Câmara: não é lei, e muito material em circulação dá a entender o contrário.
LGPD — esta sim já vale, desde 2020, e alcança todo fluxo de IA que trate dado pessoal. É a obrigação real enquanto o resto é preparação.

Onde o problema muda

Agentes autônomos e setores regulados

Quando existem agentes, o problema muda de natureza

Política de uso governa pessoas usando ferramentas — alguém lê a resposta ruim e descarta. Agente age em nome da empresa sem leitor intermediário: responde ao cliente, altera registro, libera crédito. O erro vira ato antes de virar informação, e isso exige quatro controles próprios. Ver governança de agentes de IA.

Empresa que trata agente com política de uso está governando o problema errado

Bancos e serviços financeiros

A camada extra não é a IA: é a regulação setorial que já existe sobre decisão de crédito, prevenção à fraude e retenção de registro. A governança de IA precisa se encaixar nos controles do regulador financeiro, não correr por fora deles.

Saúde

Dado de saúde é dado pessoal sensível na LGPD, com base legal mais restrita. E a decisão apoiada por IA em contexto clínico exige responsável identificado com clareza maior que em qualquer outro setor.

Setor público

Soma-se o dever de transparência e a exigência de explicação a quem é afetado por decisão automatizada — que na prática significa trilha de auditoria como requisito de entrada, não como refinamento.

De onde vem a regra

Governança escrita por quem nunca operou descreve o comportamento que se imagina

O comportamento real aparece em produção — onde o agente hesita, onde inventa, onde o cliente reformula a pergunta de um jeito que quebra o fluxo. Isso não está em nenhum framework.
Reverter é o controle funcionando — 80% das organizações brasileiras já reverteram uma implementação de IA. A empresa que não reverte, na maioria das vezes, não é a que acertou: é a que não tem como saber.
Não existe agente com 100% de acerto — um agente de pós-venda em produção no grupo Stellantis opera com 84,2% de assertividade e ainda assim entrega 86,8% de NPS. A satisfação vem do escalonamento funcionar, não da ausência de erro (fonte: blip.ai).
A governança da Tyna nasce testada — vem de quem colocou agente de IA em produção para Coca-Cola, Hering, iFood, Stellantis, Yalo e Banco do Brasil, e não de quem apenas audita.

Perguntas frequentes

Governança de IA, em resposta direta

O que é governança de IA?

Governança de Inteligência Artificial é o conjunto de decisões que define até onde a empresa deixa a IA agir sozinha, com qual dado, sob responsabilidade de quem, e como isso é verificado depois. Na prática são quatro coisas: um inventário do que já está em uso, uma classificação por risco, controles aplicados na execução e não apenas escritos em política, e uma trilha que permite reconstruir o que aconteceu. Não é um documento nem um comitê: documento e comitê são meios, e sozinhos não mudam o que o sistema faz em produção.

Qual é a diferença entre governança de IA e governança de TI?

A governança de TI trata de sistemas determinísticos: dado o mesmo comando, o sistema faz a mesma coisa, e o controle é de acesso, disponibilidade e mudança. A governança de IA trata de sistemas probabilísticos, que podem responder de forma diferente à mesma pergunta e que às vezes inventam. Isso acrescenta preocupações que a governança de TI não tem: viés e discriminação, explicabilidade da decisão, alucinação em processo crítico, propriedade do conteúdo gerado e uso de dado para treinamento de terceiros. Uma não substitui a outra: a de IA se apoia na de TI e trata do que ela não cobre.

Como implementar governança de IA em uma empresa?

Em seis etapas, e a ordem importa mais do que parece. Primeiro o inventário do que já está em uso, incluindo o que ninguém aprovou, porque toda decisão seguinte se apoia nessa lista. Depois a classificação por risco, com critério escrito. Em seguida a política de uso aceitável, com a alternativa autorizada ao lado de cada proibição. Depois a alternativa segura de fato disponível, normalmente um AI Gateway que unifica acesso, custo, observabilidade e auditoria. Em seguida os controles em execução, guardrail e escalonamento humano, para os sistemas de maior risco. E por fim a medição contínua, com números definidos antes. Começar pela política, que é o caminho mais comum, produz documento que ninguém segue.

Quais são as métricas de governança de IA?

As que dizem se o controle existe na prática: cobertura do inventário, medida pela proporção de sistemas descobertos depois do mapeamento; proporção do tráfego de IA que passa pelo caminho autorizado; percentual de sistemas com dono nomeado da área de negócio; percentual de sistemas de alto risco com trilha de auditoria recuperável; tempo médio de resposta a pedido de exceção, em dias; taxa de escalonamento para humano e tempo até a pessoa assumir; custo de IA por área e por caso de uso; e tempo entre um erro acontecer e a empresa descobrir, com a pergunta de quem descobriu primeiro, a empresa ou o cliente. Contagem de políticas publicadas e de reuniões de comitê não são métricas de governança: são métricas de atividade.

Governança de IA precisa de certificação ISO 42001?

Não precisa, e a maioria das empresas começa sem. A ISO/IEC 42001 é a primeira norma internacional certificável para sistemas de gestão de IA, e ela organiza os mesmos elementos que uma governança madura já tem: inventário, classificação de risco, controles, auditoria interna e melhoria contínua. Certificar faz sentido quando a empresa precisa demonstrar a governança para um terceiro, em RFP, auditoria de cliente ou exigência de conselho. Antes disso, o valor está nos controles em si, e não no certificado.

A governança de IA muda quando existem agentes autônomos?

Muda de natureza. Política de uso governa pessoas usando ferramentas: se alguém escreve um prompt ruim, uma pessoa lê a resposta e descarta. Agente autônomo age em nome da empresa sem leitor intermediário, respondendo ao cliente, alterando registro ou liberando crédito, e o erro vira ato antes de virar informação. Isso exige quatro controles próprios: escopo de autonomia escrito antes da produção, guardrail aplicado em execução, critério de escalonamento humano e trilha de auditoria da decisão. Empresa que trata agente com política de uso está governando o problema errado.

O material completo

Cada etapa tem um guia publicado inteiro

Método completo, não teaser: checklist, template e roteiro estão abertos nas páginas abaixo.

Em que nível de maturidade sua empresa está?

Dez perguntas, três minutos, resultado na hora: a faixa e as lacunas nomeadas uma a uma. Sem formulário e sem cadastro.

Fazer o diagnóstico Falar com o Felipe